WordPressで「保護されていない通信」が出る原因｜混在コンテンツを確認する方法

WordPressをHTTPS化していても、ページ内でHTTPの画像・CSS・JavaScriptなどを読み込むと、ブラウザから「保護されていない通信」と警告されることがあります。これを混在コンテンツ（Mixed Content）と呼びます。まずどのURLがHTTPのまま残っているかを特定します。

1．HTTPS化しても警告が出る理由

ページ自体がhttps://でも、内部でhttp://のリソースを読み込んでいるとブラウザが安全性に問題があると判断する場合があります。画像だけでなく、テーマやプラグインが読み込むファイルも対象になります。

2．WordPressアドレスとサイトアドレスを確認する

「設定 → 一般」のWordPressアドレスとサイトアドレスが意図したhttps://になっているか確認します。URLを変更する前に現在値を控え、wwwの有無も統一します。

3．本文・画像の古いHTTP URLを確認する

HTTPS化前から使っている画像や内部リンクにhttp://が残っている場合があります。記事本文だけでなく、ウィジェット、メニュー、テーマ設定なども確認します。大量置換はバックアップ後に行います。

ホームページ移転・ドメイン変更チェックリストも関連します。

4．テーマ・プラグイン由来の読み込みを確認する

外部フォント、解析タグ、古いプラグインなどがHTTPリソースを読み込んでいる場合があります。ブラウザの開発者ツールやエラー表示で対象URLを確認し、該当設定を修正します。

5．キャッシュを消して再確認する

修正後も古いHTMLやCSSがキャッシュに残ることがあります。ブラウザ、WordPress、CDNなど利用中のキャッシュを必要な範囲で更新し、シークレットモードでも確認します。

症状別の切り分け

原因URLを見つけるときの優先順位

警告が特定ページだけに出る場合は本文内の画像やリンク、全ページに出る場合はテーマ・共通CSS/JS・外部フォントなどを優先して確認します。開発者ツールでHTTP読み込み元が確認できる場合は、そのURLが「自サイト内」「テーマ・プラグイン」「外部サービス」のどれかに分類してから修正すると、不要な一括置換を避けやすくなります。

HTTP参照を安全に洗い出すチェック

一括置換の前に、どこからHTTP参照が出ているかを分類します。証明書そのものの問題ならSSL証明書エラーの確認手順、ドメイン変更後なら移転チェックリストへ進むと切り分けやすくなります。

開発者ツールで確認するときの見方

ブラウザの開発者ツールを使える場合は、ConsoleやNetworkで「http://」から始まる読み込みやMixed Contentに関する警告を探します。見つけたURLはすぐ一括置換せず、まず発生元を分類します。

修正後の確認チェック

1. 問題が出ていたページを再読み込みする
2. 開発者ツールでMixed Content警告が消えたか確認する
3. 画像・CSS・JavaScriptが欠けていないか見る
4. スマートフォンやシークレットモードでも確認する
5. 全ページ共通の原因だった場合は複数ページを確認する

警告が消えても画像やスクリプトが読み込めなくなっていれば修正完了とはいえません。表示と機能の両方を確認します。

やらない方がよいこと

• バックアップなしでURLを一括置換する
• 原因不明のSSLプラグインを複数追加する
• 証明書エラーと混在コンテンツを同じ原因と決めつける

SSL証明書エラーとの違い

混在コンテンツはHTTPSページ内にHTTPリソースが残る問題です。証明書そのものが無効・期限切れ・ドメイン不一致の場合は別の確認が必要です。

よくある質問

画像URLだけhttpなら問題ですか？

ブラウザが警告したり読み込みをブロックしたりする場合があります。可能な範囲でHTTPSへ統一します。

HTTPS化プラグインだけで必ず直りますか？

必ずではありません。元データや外部読み込みにHTTPが残っている場合は、その参照元を直す必要があります。

参考情報

• WordPress.org HTTPS for WordPress
• MDN: Mixed content